El BCU pasó de 2.149 a 32.399 incidentes de ciberseguridad entre 2023 y 2026 y apunta a la IA

Los incidentes de ciberseguridad detectados por el Banco Central del Uruguay (BCU) en el primer semestre de cada año pasaron de 2.149 en 2023 a 5.443 en 2024, 17.014 en 2025 y 32.399 en 2026, una curva que el organismo y los especialistas del Estado vinculan con la aceleración que la inteligencia artificial imprimió tanto a la ofensiva como a la defensa digital. El dato se conoció en las XV Jornadas de Derecho Bancocentralista, realizadas esta semana, donde expusieron Jorge Isi, jefe del Departamento de Seguridad de la Información en la Gerencia de Servicios Institucionales del BCU, y Nicolás Correa, gerente del Centro de Operaciones de Ciberseguridad de CERTuy, el equipo de respuesta a incidentes de Agesic. El repertorio de amenazas que ambos describieron combina técnicas de viejo cuño con otras nuevas: robo de credenciales de funcionarios y empleados, phishing —mensajes fraudulentos que buscan obtener información o habilitar accesos a sistemas—, deepfakes —contenidos audiovisuales manipulados con IA—, identidades sintéticas (perfiles falsos) y malware, o software malicioso. A esa lista se suma el ransomware, la modalidad en la que los atacantes bloquean o secuestran información y exigen un rescate bajo la amenaza de divulgarla. Según señalaron los expositores, estos ataques pueden comprometer datos sensibles y afectar cadenas de suministro, sistemas de pago e infraestructuras de los mercados financieros. El riesgo no es una proyección abstracta. Correa relató dos incidentes de gran magnitud ocurridos en Uruguay hace casi dos meses, que afectaron equipos de control de sistemas industriales: los atacantes identificaron vulnerabilidades mediante IA, escanearon las infraestructuras y generaron herramientas que aparentaban ser programas legítimos de monitoreo, y los ataques provocaron fallas en distintas partes de los sistemas. Isi, en tanto, trajo el caso de PIX, el sistema de pagos instantáneos creado y administrado por el Banco Central de Brasil, que registró varios ataques significativos en menos de un año. El último, en marzo de 2026, movió USD 48 millones: en un solo día se ejecutaron transacciones fraudulentas contra cuentas de liquidación de seis instituciones brasileñas y el dinero robado se dispersó en cuentas del exterior y criptomonedas.

Detrás de esa curva y de casos como el de PIX hay un cambio en el costo de atacar. Las nuevas tecnologías permiten que actores no identificados generen scripts de explotación de vulnerabilidades y los presenten como herramientas legítimas de monitoreo, o que identifiquen software desactualizado y credenciales débiles con apoyo de servicios de escaneo como Censys y ZoomEye. El terreno, además, está más expuesto: según el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST), las vulnerabilidades registradas aumentaron 85% interanual al 1º de setiembre de 2026 respecto de la misma fecha de 2025, y entre 2020 y 2025 el crecimiento de las presentaciones de vulnerabilidades fue de 263%. Las motivaciones de quienes atacan son diversas: beneficios económicos por robos o extorsiones, espionaje, presiones por motivos geopolíticos, sabotaje e interrupción de servicios esenciales o activismo. A escala mundial, los sectores más afectados incluyen la manufactura crítica, la energía, el agua y saneamiento, la industria química, los alimentos y la agricultura, además de las instalaciones comerciales. El Foro Económico Mundial suma otros factores que redefinen el riesgo cibernético: la geopolítica, la dependencia de proveedores externos y las diferencias de inversión entre países, que pueden generar dependencias estratégicas y amplificar el impacto de un incidente cuando los servicios y los proveedores están concentrados, mientras la falta de recursos y de personal especializado limita la capacidad de respuesta.

Uruguay llega a ese escenario con una estructura institucional que viene construyendo desde hace casi dos décadas. Agesic creó CERTuy en 2008 y después amplió sus competencias, sobre todo en relación con los servicios críticos del país, mientras la normativa se actualizó hasta exigir a las empresas reportar los ataques que sufren. En 2014 CERTuy se incorporó a First (Forum of Incident Response and Security Teams), la organización internacional que reúne equipos de respuesta a incidentes para promover estándares comunes y facilitar la cooperación; en 2017 se creó el Centro de Operaciones de Seguridad (SOC), también gestionado por Agesic, para proteger los activos tecnológicos del Estado, y en 2019 se formó el programa GSOC (Government Security Operations Center) con apoyo del Banco Interamericano de Desarrollo (BID). Los registros de CERTuy marcan una curva equivalente a la del BCU: 14.264 incidentes relacionados con amenazas o ciberataques en el país en 2024 y 42.768 en 2025. Entre sus tareas figuran el monitoreo activo, el uso de una red de sensores, el envío de eventos de ciberseguridad al SOC nacional, la inteligencia de amenazas y la llamada "cacería de amenazas". En el caso puntual del uso de credenciales de funcionarios para cometer ciberdelitos, los registros de este tipo de incidentes han disminuido con la obligatoriedad de activar la autenticación multifactor —el segundo factor de verificación que se suma a la contraseña— en sistemas y servicios expuestos a internet.

Con ese mapa sobre la mesa, el BCU trabaja en varias líneas simultáneas: el fortalecimiento de la gobernanza de la IA, la gestión de vulnerabilidades, la estandarización de reportes, la colaboración entre instituciones y los protocolos de coordinación ante crisis de ciberseguridad. El gobierno, por su parte, reforzó el marco regulatorio con la incorporación de estándares específicos, mecanismos para monitorear conductas inusuales y alertas tempranas destinadas a detectar transacciones sospechosas antes de que se consoliden. La tecnología, dicen los especialistas, no juega solo en contra: su aplicación permite reducir tareas rutinarias, dedicar más recursos al análisis, detectar ataques y responder con mayor rapidez, y analizar anomalías y correlaciones que pueden contribuir a anticipar incidentes. Los desafíos que quedan son la prevención, el entrenamiento del personal y la capacidad de contener un incidente antes de que se propague. El punto de partida es bueno: un informe del BID y la Organización de los Estados Americanos (OEA) ubica el nivel de madurez de Uruguay en ciberseguridad como bueno en comparación con otros 30 países. Los especialistas, sin embargo, advirtieron que la prevención y la respuesta requieren un trabajo permanente.

Ese trabajo permanente fue, justamente, el eje de las exposiciones. Jorge Isi destacó que el delito se ha desplazado hacia el entorno digital, en particular hacia las criptomonedas, y advirtió que las diferencias de inversión en IA entre países aumentan el riesgo. Para el jefe del Departamento de Seguridad de la Información del BCU, la ciberdefensa no depende únicamente de lo tecnológico: requiere también talento, criterios sobre qué datos se incluyen en los sistemas y cuáles no, supervisión humana y gobernanza de las instituciones. Correa, por su parte, describió la velocidad con la que se desencadenaron los dos incidentes locales: "Eso pasó en pocas horas y veíamos todo en tiempo real; nos sorprendió la velocidad y tuvimos que responder rápido para que no se comprometieran otros servicios", concluyó el gerente del Centro de Operaciones de Ciberseguridad de CERTuy. Sobre el respaldo del BID al programa GSOC, en tanto, recordó: "Este fue el primer préstamo específico para desarrollo de proyectos de ciberseguridad que recibimos".